Zum Inhalt springen
Wissen

Off-Site-Backup mit der Hetzner Storage Box, verschlüsselt mit restic

Eine Off-Site-Kopie gehört in jede Backup-Strategie. Die Hetzner Storage Box liefert günstigen Speicher in Deutschland. restic verschlüsselt die Daten clientseitig mit AES-256, bevor sie das Haus verlassen.

Bünyamin Pollin

Bünyamin Pollin

Geschäftsführung & Technische Leitung

Aktualisiert 3 Min Lesezeit
Inhalt

Die 3-2-1-Regel verlangt eine Kopie an einem anderen Standort. Die Hetzner Storage Box ist dafür eine kostengünstige Lösung mit Standort in Deutschland. Wichtig ist die clientseitige Verschlüsselung: restic verschlüsselt die Daten bereits auf Ihrem Server mit AES-256, bevor sie übertragen werden. Hetzner sieht keinen Klartext, und ein kompromittierter Storage-Zugang allein gibt keinen Zugriff auf die Inhalte.

Warum restic statt reinem rsync

rsync kopiert Dateien, aber unverschlüsselt und ohne Versionierung. restic verschlüsselt clientseitig mit AES-256, dedupliziert und führt Snapshot-Historie. Damit deckt eine Storage Box die Off-Site- und einen Teil der Versionierungs-Anforderung der 3-2-1-Regel ab.

Schritt 1: Storage Box und SSH-Zugang

Nach der Bestellung der Storage Box aktivieren Sie im Hetzner-Robot den SSH-Zugang und hinterlegen einen öffentlichen SSH-Key. SSH-Key-Authentifizierung ist Passwörtern vorzuziehen, weil sich der Backup-Server dann ohne interaktives Passwort anmeldet.

SSH-Key auf der Storage Box hinterlegen
# Public Key des Backup-Servers auf die Storage Box kopieren
# (Sub-Account uXXXXXX, Hetzner-Robot zeigt den Hostnamen)
ssh-copy-id -p 23 [email protected]

# Verbindung testen
ssh -p 23 [email protected] ls

Schritt 2: Verschlüsseltes restic-Repository initialisieren

restic legt ein verschlüsseltes Repository an. Das Repository-Passwort ist der einzige Schlüssel zu Ihren Backups. Geht es verloren, sind die Daten unwiederbringlich weg. Hinterlegen Sie es sicher, getrennt vom Backup-Server, etwa in einem Passwort-Manager.

restic-Repository auf der Storage Box anlegen
# Passwort sicher in einer geschuetzten Datei ablegen
install -m 600 /dev/null /root/.restic-pass
echo 'EIN-LANGES-ZUFAELLIGES-PASSWORT' > /root/.restic-pass

export RESTIC_REPOSITORY="sftp:[email protected]:23/backup"
export RESTIC_PASSWORD_FILE="/root/.restic-pass"

# Repository einmalig initialisieren (AES-256, clientseitig)
restic init

Schritt 3: Backup automatisieren mit Retention

Ein Backup-Skript sichert die relevanten Pfade und räumt alte Snapshots nach klaren Regeln auf. Die forget-Regeln behalten eine sinnvolle Historie, prune gibt belegten Speicher wieder frei.

/usr/local/bin/backup.sh
#!/usr/bin/env bash
set -euo pipefail

export RESTIC_REPOSITORY="sftp:[email protected]:23/backup"
export RESTIC_PASSWORD_FILE="/root/.restic-pass"

# Relevante Pfade sichern
restic backup /var/www /etc /var/lib/mysql-backups

# Retention: 7 taeglich, 4 woechentlich, 12 monatlich
restic forget --keep-daily 7 --keep-weekly 4 --keep-monthly 12 --prune
systemd-Timer (täglich 02:30)
# /etc/systemd/system/backup.timer
[Timer]
OnCalendar=*-*-* 02:30:00
Persistent=true

[Install]
WantedBy=timers.target

Datenbanken konsistent sichern

Sichern Sie keine laufende Datenbank-Datei direkt, das Ergebnis ist oft inkonsistent und lässt sich nicht sauber wiederherstellen. Erzeugen Sie zuerst einen Dump (z. B. mysqldump in /var/lib/mysql-backups) und sichern Sie diesen.

Schritt 4: Integrität prüfen und Restore testen

restic check prüft die Repository-Integrität, ein Test-Restore zeigt, dass sich die Daten lesen lassen. Beides gehört in den regelmäßigen Rhythmus.

Integrität und Test-Restore
# Repository-Integritaet pruefen
restic check

# Snapshots auflisten
restic snapshots

# Test-Restore eines Snapshots in einen leeren Ordner
restic restore latest --target /tmp/restore-test
# Inhalt und Zeitstempel im Zielordner verifizieren
  • restic check läuft fehlerfrei (wöchentlich automatisiert).
  • Test-Restore stellt eine bekannte Datei korrekt wieder her.
  • Repository-Passwort ist getrennt vom Server gesichert.
  • Retention-Regeln passen zur geforderten Aufbewahrung (RPO).
  • Backup-Lauf meldet Erfolg oder Fehler an ein Monitoring.

Ergebnis

Mit restic auf der Hetzner Storage Box haben Sie eine verschlüsselte Off-Site-Kopie in Deutschland, versioniert und getestet. Visgenix nutzt dieses Muster für Off-Site-Backups im SEO- und Web-Maintenance-Betrieb.

Quellen

Häufige Fragen

  • Sieht Hetzner meine Backup-Daten?

    Nein. restic verschlüsselt clientseitig mit AES-256, bevor die Daten übertragen werden. Auf der Storage Box liegen nur verschlüsselte Blöcke. Selbst bei einem kompromittierten Storage-Zugang bleiben die Inhalte ohne das restic-Passwort unlesbar. Das Passwort verlässt Ihren Server nie.

  • Ersetzt eine Storage Box mit restic die komplette 3-2-1-Strategie?

    Nein, sie ist die Off-Site-Kopie. Für schnelle Wiederherstellung brauchen Sie zusätzlich eine lokale Kopie, und gegen Ransomware eine immutable Variante. Die Storage Box deckt den Standort-Ausfall und über die Snapshot-Historie einen Teil der Versionierung ab. Zusammen mit einer lokalen Sicherung ergibt das 3-2-1.

  • Was passiert, wenn ich das restic-Passwort verliere?

    Dann sind die Backups unwiederbringlich verloren. restic hat keine Hintertür und keinen Reset. Deshalb gehört das Passwort an einen zweiten, vom Backup-Server unabhängigen Ort, etwa in einen Passwort-Manager oder einen versiegelten Umschlag im Safe.

Weitere Anleitungen

Umsetzung durch Visgenix

Backup-Betrieb, der getestet ist

Visgenix richtet verschlüsselte Off-Site-Backups ein und überwacht sie, mit Integritätsprüfung, getestetem Restore und Alerting. Off-Site auf Hetzner Storage Box, georedundant in Deutschland.

Hosting & Cloud

← Zurück zur Wissensdatenbank

Mehr zum Thema